270 ആയിരം പ്രോജക്റ്റുകളിൽ ഉപയോഗിച്ചിരിക്കുന്ന നോഡ്-നെറ്റ്മാസ്ക് NPM പാക്കേജിലെ കേടുപാടുകൾ

നോഡ്-നെറ്റ്മാസ്ക് NPM പാക്കേജിന്, ആഴ്ചയിൽ ഏകദേശം 3 ദശലക്ഷം ഡൗൺലോഡുകൾ ഉണ്ട്, കൂടാതെ GitHub-ലെ 270-ലധികം പ്രോജക്റ്റുകളുടെ ആശ്രിതത്വമായി ഉപയോഗിക്കുന്നു, നെറ്റ്മാസ്ക് ഉപയോഗിക്കുന്ന പരിശോധനകൾ മറികടക്കാൻ അനുവദിക്കുന്ന ഒരു ദുർബലത (CVE-2021-28918) ഉണ്ട്. അഡ്രസ് ശ്രേണികളിലേക്കോ ഫിൽട്ടറിംഗിനോ ഉള്ള സംഭവം നിർണ്ണയിക്കാൻ. നോഡ്-നെറ്റ്മാസ്ക് 2.0.0-ന്റെ റിലീസിൽ പ്രശ്നം പരിഹരിച്ചു.

ആന്തരിക നെറ്റ്‌വർക്കിൽ നിന്നും തിരിച്ചും ഒരു ബാഹ്യ ഐപി വിലാസത്തെ ഒരു വിലാസമായി കണക്കാക്കുന്നത് ഈ അപകടസാധ്യത സാധ്യമാക്കുന്നു, കൂടാതെ ആപ്ലിക്കേഷനിലെ നോഡ്-നെറ്റ്മാസ്ക് മൊഡ്യൂൾ ഉപയോഗിച്ച് എസ്എസ്ആർഎഫ് (സെർവർ-സൈഡ് അഭ്യർത്ഥന വ്യാജം), ആർഎഫ്ഐ നടപ്പിലാക്കുന്നതിനുള്ള ഒരു നിശ്ചിത ലോജിക്കിനൊപ്പം. (റിമോട്ട് ഫയൽ ഉൾപ്പെടുത്തൽ) കൂടാതെ LFI (ലോക്കൽ ഫയൽ ഉൾപ്പെടുത്തൽ) ആക്രമണങ്ങൾ ) ആന്തരിക നെറ്റ്‌വർക്കിലെ ഉറവിടങ്ങൾ ആക്‌സസ് ചെയ്യുന്നതിനും എക്‌സിക്യൂഷൻ ചെയിനിൽ ബാഹ്യ അല്ലെങ്കിൽ പ്രാദേശിക ഫയലുകൾ ഉൾപ്പെടുത്തുന്നതിനും. സ്പെസിഫിക്കേഷൻ അനുസരിച്ച്, പൂജ്യത്തിൽ ആരംഭിക്കുന്ന വിലാസ സ്ട്രിംഗ് മൂല്യങ്ങൾ ഒക്ടൽ നമ്പറുകളായി വ്യാഖ്യാനിക്കണം, എന്നാൽ നോഡ്-നെറ്റ്മാസ്ക് മൊഡ്യൂൾ ഇത് കണക്കിലെടുക്കാതെ ദശാംശ സംഖ്യകളായി കണക്കാക്കുന്നു എന്നതാണ് പ്രശ്നം.

ഉദാഹരണത്തിന്, "0177.0.0.1" എന്നതിന് അനുയോജ്യമായ "127.0.0.1" എന്ന മൂല്യം വ്യക്തമാക്കിക്കൊണ്ട് ഒരു ആക്രമണകാരിക്ക് ഒരു പ്രാദേശിക ഉറവിടം അഭ്യർത്ഥിക്കാം, എന്നാൽ "നോഡ്-നെറ്റ്മാസ്ക്" മൊഡ്യൂൾ ശൂന്യത നിരസിക്കുകയും 0177.0.0.1″ എന്ന് പരിഗണിക്കുകയും ചെയ്യും " 177.0.0.1", ആക്സസ് നിയമങ്ങൾ വിലയിരുത്തുമ്പോൾ ആപ്ലിക്കേഷനിൽ, "127.0.0.1" ഉപയോഗിച്ച് ഐഡന്റിറ്റി നിർണ്ണയിക്കാൻ കഴിയില്ല. അതുപോലെ, ഒരു ആക്രമണകാരിക്ക് "0127.0.0.1" എന്ന വിലാസം വ്യക്തമാക്കാൻ കഴിയും, അത് "87.0.0.1" ന് സമാനമായിരിക്കണം, എന്നാൽ "നോഡ്-നെറ്റ്മാസ്ക്" മൊഡ്യൂളിൽ "127.0.0.1" ആയി കണക്കാക്കും. അതുപോലെ, "012.0.0.1" ("10.0.0.1" ന് തുല്യമായത്, എന്നാൽ ചെക്ക് സമയത്ത് 12.0.0.1 ആയി പ്രോസസ്സ് ചെയ്യപ്പെടും) പോലുള്ള മൂല്യങ്ങൾ വ്യക്തമാക്കി ഇൻട്രാനെറ്റ് വിലാസങ്ങളിലേക്കുള്ള ആക്‌സസിനായുള്ള പരിശോധന നിങ്ങൾക്ക് വഞ്ചിക്കാം.

പ്രശ്നം തിരിച്ചറിഞ്ഞ ഗവേഷകർ പ്രശ്നത്തെ വിനാശകരം എന്ന് വിളിക്കുകയും നിരവധി ആക്രമണ സാഹചര്യങ്ങൾ നൽകുകയും ചെയ്യുന്നു, എന്നാൽ അവയിൽ മിക്കതും ഊഹക്കച്ചവടമാണ്. ഉദാഹരണത്തിന്, ഇൻപുട്ട് അഭ്യർത്ഥനയുടെ പാരാമീറ്ററുകൾ അല്ലെങ്കിൽ ഡാറ്റ അടിസ്ഥാനമാക്കി ഒരു റിസോഴ്സ് അഭ്യർത്ഥിക്കുന്നതിന് ബാഹ്യ കണക്ഷനുകൾ സ്ഥാപിക്കുന്ന Node.js-അധിഷ്ഠിത ആപ്ലിക്കേഷനെ ആക്രമിക്കാനുള്ള സാധ്യതയെക്കുറിച്ച് ഇത് സംസാരിക്കുന്നു, എന്നാൽ ആപ്ലിക്കേഷന് പ്രത്യേകമായി പേരിടുകയോ വിശദമാക്കുകയോ ചെയ്തിട്ടില്ല. നൽകിയ IP വിലാസങ്ങളെ അടിസ്ഥാനമാക്കി ഉറവിടങ്ങൾ ലോഡുചെയ്യുന്ന ആപ്ലിക്കേഷനുകൾ നിങ്ങൾ കണ്ടെത്തുകയാണെങ്കിൽപ്പോലും, ഒരു പ്രാദേശിക നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യാതെ അല്ലെങ്കിൽ "മിറർ" ഐപി വിലാസങ്ങളുടെ നിയന്ത്രണം നേടാതെ പ്രായോഗികമായി ഈ അപകടസാധ്യത എങ്ങനെ പ്രയോജനപ്പെടുത്താമെന്ന് പൂർണ്ണമായും വ്യക്തമല്ല.

87.0.0.1 (ടെലികോം ഇറ്റാലിയ), 0177.0.0.1 (ബ്രസീൽ ടെലികോം) എന്നിവയുടെ ഉടമകൾക്ക് 127.0.0.1 എന്നതിലേക്കുള്ള പ്രവേശന നിയന്ത്രണം മറികടക്കാൻ കഴിയുമെന്ന് ഗവേഷകർ അനുമാനിക്കുന്നു. വിവിധ ആപ്ലിക്കേഷൻ-സൈഡ് ബ്ലോക്ക് ലിസ്റ്റുകളെ മറികടക്കാനുള്ള അപകടസാധ്യത ചൂഷണം ചെയ്യുക എന്നതാണ് കൂടുതൽ യാഥാർത്ഥ്യമായ ഒരു സാഹചര്യം. എൻ‌പി‌എം മൊഡ്യൂളായ "പ്രൈവറ്റ്-ഐ‌പി" ലെ ഇൻ‌ട്രാനെറ്റ് ശ്രേണികളുടെ നിർവ്വചനം പങ്കിടുന്നതിനും ഈ പ്രശ്നം പ്രയോഗിക്കാവുന്നതാണ്.

അവലംബം: opennet.ru